Sicurezza dei dati dei pazienti nello studio dentistico

Nel tuo studio i dati dei pazienti sono dati sanitari. Anamnesi, radiografie, piani di cura, consensi e fatture con il codice fiscale ricadono nelle categorie particolari del GDPR, e per questo richiedono tutele più forti di quelle di un normale archivio clienti. Per tenerli al sicuro servono tre cose: accessi limitati alle persone che ne hanno bisogno, un gestionale con misure tecniche verificabili e procedure semplici che la segreteria applica ogni giorno. Qui trovi cosa dice la norma, quali errori quotidiani diventano violazioni, cosa chiedere al fornitore del software e come muoverti se qualcosa va storto.

In breve

• I dati raccolti nello studio dentistico sono dati relativi alla salute ai sensi del GDPR e godono di una protezione rafforzata.
• Ogni persona dello studio deve vedere solo i dati che le servono per il suo lavoro: assistente, igienista, segreteria e amministrazione hanno esigenze diverse.
• Gli incidenti più frequenti non sono attacchi informatici sofisticati, ma errori banali: un referto inviato all’indirizzo email sbagliato, una busta scambiata.
• Il fornitore del gestionale cloud tratta i dati per tuo conto: serve un contratto che lo nomini responsabile del trattamento e risposte chiare su backup, accessi e ripristino.
• In caso di violazione hai 72 ore per valutare e, se necessario, notificarla al Garante.

Indice

• Perché i dati del paziente dentale sono dati sensibili
• Raccogli solo i dati che ti servono
• Chi può accedere ai dati sanitari del paziente
• Le misure tecniche che il GDPR chiede allo studio
• Gestionale cloud o server in studio: cosa chiedere al fornitore
• Gli errori quotidiani che diventano un data breach
• Cosa fare se si verifica una violazione
• La documentazione che devi avere pronta
• Il nostro punto di vista
• Come ti aiuta Odontia
• Domande frequenti
• Fonti

Perché i dati del paziente dentale sono dati sensibili

Il Regolamento UE 2016/679 definisce all’art. 4, punto 15, i dati relativi alla salute come quelli che riguardano la salute fisica o mentale di una persona, compresa l’assistenza sanitaria ricevuta, e che rivelano informazioni sul suo stato di salute. Nello studio dentistico questo comprende molto più della cartella clinica:

• anamnesi generale e odontoiatrica, con farmaci assunti, allergie, patologie sistemiche;
• odontogramma, diagnosi e piano di trattamento;
• radiografie, ortopanoramiche, CBCT e fotografie intraorali;
• preventivi e fatture, che collegano una persona a una prestazione sanitaria;
• pratiche con fondi e assicurazioni, che contengono diagnosi e documentazione clinica;
• consensi informati firmati.

L’art. 9 del GDPR vieta in via generale il trattamento di queste categorie, salvo deroghe precise. Quella che riguarda il tuo lavoro quotidiano è la finalità di diagnosi, assistenza e terapia sanitaria, quando il trattamento avviene sotto la responsabilità di un professionista soggetto al segreto professionale. Il punto pratico è questo: la base giuridica copre ciò che serve per curare il paziente, non tutto ciò che sarebbe comodo raccogliere.

Anche il Vademecum per medici e odontoiatri dell’Ordine di Roma ricorda che il GDPR si fonda sul principio di accountability: il titolare dello studio deve essere in grado di dimostrare di aver adottato misure adeguate, non solo di averle pensate.

Raccogli solo i dati che ti servono

La prima misura di sicurezza costa zero: non avere dati che non ti servono. Un dato che non hai raccolto non può essere perso, rubato o inviato per sbaglio.

Il Garante si è espresso in modo esplicito su un caso tipico degli studi odontoiatrici: la richiesta generalizzata, in fase di accettazione, dello stato di sieropositività. Nelle sue prescrizioni sulla raccolta di informazioni sullo stato di sieropositività chiarisce che queste informazioni vanno raccolte solo quando sono davvero necessarie per il percorso di cura e con il consenso informato del paziente. Chiederle a tutti, per prassi, viola i principi di pertinenza e non eccedenza.

Cosa fare in pratica:

1. Rivedi il modulo di anamnesi: per ogni domanda chiediti se cambia davvero la cura o la sicurezza della prestazione.
2. Separa i dati amministrativi da quelli clinici: la segreteria che gestisce agenda e pagamenti non ha bisogno dell’anamnesi completa.
3. Non fotocopiare documenti per abitudine: se ti basta verificare l’identità, non serve archiviare la copia della carta d’identità.
4. Elimina i duplicati: le radiografie salvate sul desktop dello studio, nella chiavetta del tecnico e nella posta elettronica sono tre copie da proteggere invece di una.

Chi può accedere ai dati sanitari del paziente

È una delle domande più frequenti, e la risposta è netta: l’accesso va limitato al personale autorizzato che ne ha effettiva necessità per le proprie mansioni. Non basta lavorare nello studio per poter consultare qualsiasi cartella.

Nello studio dentistico questo si traduce in profili diversi:

La tabella è un punto di partenza, non una regola fissa: in uno studio piccolo la stessa persona può coprire più ruoli. Quello che conta è che ogni accesso abbia un motivo e che le persone autorizzate siano state istruite per iscritto. Se vuoi impostare i profili nel software, trovi un approfondimento su ruoli e permessi nel gestionale dentistico.

Due regole valgono per tutti:

• credenziali personali, mai un’utenza condivisa “segreteria” o “studio”: senza credenziali individuali non puoi sapere chi ha fatto cosa;
• chiusura degli accessi il giorno stesso in cui un collaboratore lascia lo studio.

Le misure tecniche che il GDPR chiede allo studio

L’art. 32 del GDPR non impone una lista chiusa di strumenti, ma chiede misure adeguate al rischio. Ne indica alcune in modo esplicito: pseudonimizzazione e cifratura, capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi, capacità di ripristinare tempestivamente l’accesso ai dati dopo un incidente, e una procedura per testare regolarmente l’efficacia delle misure.

Tradotto per lo studio:

• Riservatezza: solo chi è autorizzato vede i dati. Password robuste, autenticazione a due fattori dove disponibile, blocco automatico dello schermo quando ti allontani dalla postazione di accettazione.
• Integrità: i dati non vengono alterati senza traccia. Una cartella clinica modificata senza registro delle modifiche è un problema clinico e legale, non solo di privacy.
• Disponibilità: se il PC dello studio si rompe o viene colpito da un ransomware, devi poter riaprire l’agenda e le cartelle in tempi brevi. Un backup che nessuno ha mai provato a ripristinare non è una garanzia.
• Verifica periodica: almeno una volta l’anno controlla chi ha accesso a cosa, se i backup funzionano, se i dispositivi sono aggiornati.

Una revisione scientifica sulla protezione dei dati in odontoiatria digitale, pubblicata nel 2023, osserva che la diffusione di teleodontoiatria e strumenti digitali ha reso questi temi centrali anche per gli studi più piccoli. Più canali digitali usi (portale paziente, messaggi, prenotazione online), più punti di accesso devi presidiare.

Gestionale cloud o server in studio: cosa chiedere al fornitore

Molti studi conservano ancora i dati su un server o su un PC nello studio. Le alternative sono gestionali installati in locale, con backup affidati allo studio o al tecnico, e gestionali cloud, dove l’infrastruttura è gestita dal fornitore. In entrambi i casi la responsabilità resta tua come titolare del trattamento: cambia chi fa materialmente il lavoro.

Quando un fornitore tratta i dati dei tuoi pazienti per tuo conto, l’art. 28 del GDPR richiede che sia nominato responsabile del trattamento con un contratto che ne definisca obblighi e limiti. Prima di firmare, o per verificare il software che già usi, fai queste domande:

1. C’è un contratto o un atto di nomina a responsabile del trattamento? Deve essere scritto e firmato.
2. Dove sono conservati i dati? Se escono dallo Spazio economico europeo servono garanzie specifiche.
3. Come sono protetti i dati in transito e a riposo? Chiedi se la connessione e l’archiviazione sono cifrate.
4. Ogni utente ha credenziali proprie e profili diversi? Serve per applicare il principio dell’accesso limitato.
5. Esiste un registro degli accessi? Ti serve per capire chi ha consultato una cartella in caso di contestazione.
6. Ogni quanto si fa il backup e in quanto tempo si ripristina? Chiedi tempi concreti, non rassicurazioni generiche.
7. Come mi avvisate in caso di violazione? Il responsabile deve informarti senza ingiustificato ritardo, perché i tuoi tempi di notifica partono da lì.
8. Se smetto di usare il servizio, come recupero i dati e come vengono cancellati?

Un fornitore serio risponde per iscritto a ognuna di queste domande. Vale anche per noi: chiedilo.

Gli errori quotidiani che diventano un data breach

La parola data breach fa pensare agli hacker. Nella realtà di uno studio dentistico, molte violazioni nascono alla scrivania della segreteria.

Il Garante, con il provvedimento del 18 dicembre 2025, ha sanzionato l’invio di documentazione clinica a destinatari sbagliati, richiamando gli artt. 5, 9 e 32 del GDPR per la mancanza di procedure di verifica adeguate. L’invio accidentale di un referto al paziente sbagliato, per una busta scambiata o un indirizzo email digitato male, è a tutti gli effetti una violazione dei dati personali.

Gli errori più comuni nello studio:

• email con allegati clinici inviate a un indirizzo scritto a mano e mai verificato;
• messaggi WhatsApp dal telefono personale dell’assistente con foto intraorali o radiografie;
• referti stampati lasciati sul bancone dell’accettazione;
• chiamate in sala d’attesa con nome, cognome e tipo di intervento davanti ad altri pazienti;
• PC dell’accettazione senza blocco schermo, visibile dal lato pazienti;
• chiavette USB con l’archivio radiografico consegnate al tecnico o al laboratorio;
• ex collaboratori ancora con le credenziali attive.

Come ridurli con poche regole:

• verifica l’indirizzo email alla prima registrazione, chiedendo al paziente di confermarlo, prima di usarlo per inviare documenti clinici;
• invia i documenti tramite canali controllati, come un portale paziente con accesso personale, invece degli allegati email;
• usa dispositivi dello studio per le comunicazioni con i pazienti, non telefoni personali;
• scrivi la procedura in una pagina e falla firmare a chi lavora in segreteria.

Cosa fare se si verifica una violazione

Se succede, la velocità conta. L’art. 33 del GDPR prevede che il titolare notifichi la violazione all’autorità di controllo entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone. Con i dati sanitari, questa improbabilità è difficile da sostenere.

La sequenza da seguire:

1. Contieni il danno: chiedi al destinatario sbagliato di cancellare il documento, disattiva le credenziali compromesse, isola il PC infetto dalla rete.
2. Raccogli i fatti: cosa è successo, quando, quali dati, quanti pazienti coinvolti.
3. Valuta il rischio con il tuo DPO, se lo hai nominato, o con il consulente privacy dello studio.
4. Notifica al Garante entro 72 ore se il rischio c’è, tramite la procedura online dell’Autorità.
5. Informa i pazienti coinvolti quando il rischio è elevato, come prevede l’art. 34.
6. Annota tutto nel registro delle violazioni: l’art. 33 chiede di documentare ogni violazione, anche quelle che non notifichi.
7. Correggi la causa, così che lo stesso errore non si ripeta.

Se hai dubbi su un caso concreto, ad esempio se una busta scambiata tra due familiari vada notificata, non decidere da solo in segreteria: senti subito il tuo consulente privacy o il DPO, perché le 72 ore passano in fretta.

Le sanzioni previste dall’art. 83 per le violazioni dei principi e delle condizioni sulle categorie particolari arrivano fino a 20 milioni di euro o al 4% del fatturato annuo mondiale. Per uno studio, però, il costo più frequente è un altro: il tempo perso a gestire l’incidente e la fiducia del paziente.

La documentazione che devi avere pronta

La sicurezza si dimostra anche con i documenti. Quelli essenziali per lo studio:

• informativa privacy per i pazienti (art. 13 GDPR), chiara e aggiornata;
• registro delle attività di trattamento (art. 30), con finalità, categorie di dati, destinatari, tempi di conservazione e misure di sicurezza;
• atti di autorizzazione e istruzioni scritte per il personale;
• nomine dei responsabili esterni: gestionale, laboratorio, commercialista, consulente informatico;
• registro delle violazioni, anche se vuoto;
• regole sui tempi di conservazione della documentazione clinica, che trovi spiegate nella guida alla conservazione dei documenti clinici.

L’associazione nazionale dei dentisti ha messo a disposizione degli associati istruzioni operative per la documentazione privacy, utili per controllare di non aver dimenticato nulla. Per il quadro completo degli adempimenti leggi anche cosa serve per un GDPR nello studio dentistico a norma.

Il nostro punto di vista

Lavoriamo ogni giorno con studi che vogliono capire i numeri della loro attività: margini per prestazione, costi per poltrona e operatore, ore di poltrona perse. Più dati raccogli per gestire meglio lo studio, più quei dati vanno protetti. Per noi le due cose non sono in conflitto: un gestionale che sa chi ha fatto cosa, su quale poltrona e per quale paziente è anche uno strumento che ti aiuta a limitare gli accessi e a ricostruire i fatti quando serve.

Vediamo spesso lo stesso schema: lo studio investe in un server o in un antivirus, poi i documenti clinici viaggiano via email personale e WhatsApp perché è più veloce. La sicurezza si gioca lì, nei gesti ripetuti venti volte al giorno. Per questo pensiamo che il software debba rendere la strada sicura anche la più comoda: promemoria automatici dal sistema invece che dal telefono dell’assistente, consensi firmati e archiviati nella cartella, documenti consegnati al paziente tramite un portale personale.

Il nostro consiglio è semplice: scegli strumenti che riducono il numero di copie dei dati e il numero di passaggi manuali. Ogni passaggio manuale in meno è un’occasione di errore in meno.

— Ufficio

Come ti aiuta Odontia

Odontia.cloud è un gestionale cloud per studi odontoiatrici che tiene insieme agenda multi-poltrona, cartella clinica digitale con odontogramma interattivo, fatturazione elettronica, invio delle spese al Sistema TS e reminder automatici via SMS, WhatsApp ed email. Avere tutto in un unico sistema significa meno file sparsi tra PC, chiavette e caselle di posta.

Il piano base costa 49 € al mese. Puoi aggiungere solo i moduli che ti servono, tra cui Cartella clinica (19 € al mese), Consensi e firme (9 € al mese), Portale paziente (12 € al mese) e Adempimenti studio (9 € al mese). Trovi l’elenco completo dei moduli e dei prezzi nella pagina prezzi di Odontia.cloud, con la prova gratuita per iniziare.

Domande frequenti

I dati sanitari sono considerati dati sensibili?

Sì. Il GDPR non usa più l’espressione “dati sensibili” ma parla di categorie particolari di dati, tra cui i dati relativi alla salute. Nello studio dentistico ci rientrano anamnesi, diagnosi, radiografie, piani di cura e anche le fatture che collegano un paziente a una prestazione. Il loro trattamento è vietato salvo deroghe, come la finalità di cura svolta da un professionista soggetto a segreto.

Chi può accedere ai dati sanitari di un paziente nello studio?

Solo le persone autorizzate che ne hanno bisogno per il proprio lavoro. L’odontoiatra accede alla cartella completa, la segreteria di norma solo ad anagrafica, agenda e pagamenti. Ogni collaboratore deve avere credenziali personali e istruzioni scritte, e gli accessi vanno chiusi quando lascia lo studio.

Posso mandare le radiografie al paziente via WhatsApp o email?

Puoi farlo solo con cautele precise: indirizzo o numero verificato, dispositivo dello studio e non personale, e consapevolezza del rischio. Un invio al destinatario sbagliato è una violazione dei dati, come ha ricordato il Garante in un provvedimento del dicembre 2025. Un portale paziente con accesso personale è un canale più controllato.

Il fornitore del gestionale è responsabile della sicurezza dei dati?

Il fornitore risponde delle misure che applica come responsabile del trattamento, ma il titolare resta lo studio. Per questo serve un contratto di nomina ai sensi dell’art. 28 del GDPR e risposte scritte su backup, accessi, conservazione dei dati e gestione delle violazioni. Se il fornitore non sa risponderti, è già un’informazione utile.

Fonti

• Regolamento UE 2016/679 (GDPR), EUR-Lex
• Garante Privacy, provvedimento del 18 dicembre 2025
• Garante Privacy, prescrizioni sulla raccolta di informazioni sullo stato di sieropositività
• Ordine dei Medici di Roma, Vademecum per medici ed odontoiatri
• Protection of Patient Data in Digital Oral and General Health Care, Oral (2023)
• ANDI, istruzioni operative per la documentazione privacy

Raccomandati

• GDPR studio dentistico: cosa serve davvero per essere a norma
• Firma grafometrica per pazienti: guida pratica per studi e consensi